Exchange 2000 中的密钥管理服务器概念

每一个高级安全用户至少有两个密钥对；一个密钥对用于邮件的加密，它是在注册期间由密钥管理服务器 (KMS) 生成的；另一个密钥对用于数字签名，它是由用户的邮件客户端（如 Microsoft Outlook 或其他遵从 S/MIME 标准的电子邮件客户端）生成的。

注意 如果在您的组织中使用由 KMS 签发的 X.509v1 证书，就会另外再创建一个用于数字签名的密钥对。一个签名密钥对用于 X.509v1 证书，另一个签名密钥对用于 X.509v3 证书。

KMS 服务器的加密服务提供程序 (CSP) 生成了用户的加密密钥对，然后 KMS 从 CA 申请一份证书。用户的专用加密密钥然后就存储到用户的 KMS 上一个加密的数据库中。这样，KMS 管理员就能够访问这些密钥，以便执行系统范围的密钥恢复、密钥和证书吊销，以及其他一些旨在保护组织中加密数据的密钥管理任务。

用户的密钥对中的其中一个密钥是公钥，作为该用户对象的一个属性存储在 Active Directory 中，可供任何人访问。另一个密钥是私钥，它保存在客户端计算机上的一个安全位置，只有用户本人可以访问它，这样就维护了数字签名的不可否认功能。这些密钥由创建密钥的证书绑定到用户。

注意 用户的专用数字签名密钥的存储方式如下：

%26#8226;	Microsoft Outlook 97 及更旧的客户端将私钥存储在一个加密的 .epf 文件中。
%26#8226;	Microsoft Outlook 98 密钥存储在一个由 Microsoft Internet Explorer 保护的存储区中。
%26#8226;	Microsoft Outlook 2000 私钥存储在注册表中。

密钥类型及其使用

Exchange 2000 高级安全性支持四种不同类型的密钥。它们是：

%26#8226;	公用加密密钥 公用加密密钥用于加密由用户发送的邮件。在公钥加密中，发件人从 Active Directory 检索收件人的公钥并使用它来加密邮件。
%26#8226;	专用加密密钥 专用加密密钥用于解密用户接收到的加密邮件。只有收件人对应的私钥才可以解密该邮件，所以其他用户不能够读取其内容。
%26#8226;	公用签名密钥 当用户收到已签名的邮件时，将使用公用签名密钥确认发件人身份。收件人使用发件人的公钥确认邮件的来源。只有正确的公钥才能与专用签名密钥相配，所以收件人可以确信发件人身份的真实性。
%26#8226;	专用签名密钥 专用签名密钥用于给由用户发送的邮件加数字签名。数字签名包含有基于邮件内容的信息，因此验证签名也就意味着验证了数据的完整性。有数字签名的邮件在传输过程中若有篡改，则必然会被发现。

证书

证书是安全保护机制中的一种身份验证方法。证书是由证书颁发机构 (CA) 为每个启用了高级安全性的用户创建的，所以未启用高级安全性的用户将没有证书。证书主要是用来存储用户的公钥。

对于每一个启用了高级安全性的用户，均已创建了两个主要的 X.509 证书。一个证书用于存储公用加密密钥信息，另一个用于存储公用签名密钥信息。

数字签名

数字签名使收件人能够确定发件人身份的真实性，并能够使收件人验证邮件内容在传输期间没有经过修改。

当将数字签名添加到邮件时，将使用邮件内容来计算出一个标识发件人的哈希值并提供一个数字指纹。邮件摘要算法、邮件内容和发件人的私钥将用来生成哈希值。

为验证发件人的身份，收件人通过使用发件人的公钥来解密此原始哈希值，而此公钥可从受信目录（如 Active Directory）中获取。邮件被解密，然后用接收到的文本计算出一个新的哈希值，并将它与原始哈希值进行比较。如果它们相配，就确认了内容的完整性和发件人的身份。

注意 有时，发件人的公用签名密钥也有可能随签名的邮件一起发送。

邮件加密和解密

邮件加密和解密是一个对用户“透明”的过程。除了查询目录以获取收件人公钥外，此过程执行期间在客户端和其他网络服务之间没有任何交互。每个过程的详细情况如下。

加密

邮件加密使发件人能够加密邮件正文和任何可能带有的附件。要发送一封加密的邮件，发件人和收件人都必须启用了高级安全性。当用户发送一封加密的邮件时，Exchange 客户端使用由预期收件人的公钥加密的会话密钥来加密此邮件。要创建会话密钥（一种一次性对称密钥），发件人必须具有访问收件人公钥的权限。在多数情况下，用于加密邮件的公钥是由发件人的电子邮件客户端（如 Outlook）从 Exchange 服务器获得的。当用户撰写一封定址到另一个启用了高级安全性的 Exchange 用户的加密邮件时，将发生下面的情况：

1.	发件人从“全球通讯簿”中选择收件人。
2.	Outlook 从 Exchange 服务器上请求收件人的公钥。
3.	如果服务器在运行 Exchange Server 5.5，那么邮箱的、自定义收件人的或公用文件夹的 X509-Cert 属性内容将返回到 Outlook。
4.	如果服务器在运行 Exchange 2000 Server，那么 Active Directory 中邮箱的或支持邮件的对象的 userCertificate 属性将返回到 Outlook。
5.	使用收件人的公钥加密一个一次性对称会话密钥。
6.	使用会话密钥加密邮件。
7.	邮件发送到收件人。

解密

邮件解密使得发件人能够解密邮件正文和任何可能带有的附件。为解密邮件，Outlook 使用收件人的私钥解密对称密钥，后者接着用来解密邮件。因为邮件的收件人是唯一能够访问私钥的人，所以邮件是安全的，除预期的收件人外不允许任何人读取邮件内容。

 如果您对本文有任何疑问或者建议，请到讨论区发表您的意见: >> 论坛入口 <<

上一页 1 23 4 下一页

上一篇：Exchange 2003 使用队列查看器的秘籍   下一篇：如何使 Outlook Web Access 成为默认 Web 站点

【文章评论】 【收藏本文】 【推荐好友】 【打印本文】 【我要投稿】 【论坛讨论】